Znajdź zawartość

Najpopularniejsze domowe rutery zawierają poważne luki bezpieczeństwa, ostrzegają specjaliści z Instytutu Fraunhofera. Peter Weidenbach i Johannes vom Dorp przeanalizowali pod kątem bezpieczeństwa 127 popularnych domowych ruterów i odkryli, że większość z nich zawiera co najmniej 1 krytyczną dziurę, a w wielu z nich znaleziono setki znanych luk. Jakby tego było mało, średnia liczba krytycznych dziur na ruter wynosiła aż 53, a nawet najbezpieczniejszy z ruterów miał 21 znanych wcześniej luk. Eksperci przeanalizowali rutery m.in. takich producentów jak Netgear, Linksys, D-Link, ASUS, TP-Link czy Zyxel. Sprawdzali je m.in. pod kątem aktualizacji, wersji systemu operacyjnego, obecności znanych dziur, technik ochrony zastosowanych przez producenta oraz częstotliwości ich aktualizacji, obecności prywatnych kluczy w firmware oraz obecności zakodowanych na twardo haseł dostępowych. Podsumowując, nasze analizy wykazały, że nie istnieje ruter bez błędów, a żaden producent nie wykonuje perfekcyjnej roboty pod kątem zabezpieczeń. Producenci muszą włożyć olbrzymi wysiłek w to, by rutery stały się równie bezpieczne jak komputery czy serwery, mówią autorzy badań. Co prawda użytkownicy ruterów często popełniają błędy podczas ich konfiguracji, ale to nie one są główną przyczyną, dla której rutery są podatne na ataki. Analiza jasno pokazała, że to producenci tych urządzeń, pomimo tego, że wiedzą o istniejących dziurach, lekceważą swoje obowiązki i dostarczają użytkownikom źle zabezpieczone urządzenia. To lekceważenie klienta najlepiej widać w wersji użytego systemu operacyjnego. Spośród 127 ruterów aż 116 korzystało z Linuksa. Linux może być bardzo bezpiecznym systemem. Problem jednak w tym, że w większości przypadków producenci instalowali w ruterach przestarzałe wersje oprogramowania, pełne dziur i niedociągnięć. Większość ruterów korzystała z kernela 2.6, który nie jest utrzymywany od wielu lat [ostatnia wersja tego jądra ukazała się w 2011 roku – red.]. To zaś wiąże się z duża liczbą krytycznych błędów w tych urządzeniach, napisali badacze. Kolejny problem to rzadkie aktualizacje firmware'u. Zbyt rzadkie niż być powinny. Nawet jednak odpowiednio częste aktualizacje nie rozwiązują problemów. Okazało się również, że producenci ruterów bardzo rzadko stosują popularne techniki zapobiegania atakom. Bywa nawet tak, że używają powszechnie znanych haseł, których użytkownik nie może zmienić. Jakby jeszcze tego było mało, okazuje się, że w firmware wielu ruterów znajdują się łatwe do pozyskanie prywatne klucze kryptograficzne. To zaś oznacza, że nawet gdy próbujesz zabezpieczyć swój ruter, to nie jest on bezpieczny. Nie wszyscy producenci ruterów w równej mierze lekceważą klienta. Badacze ocenili, że najlepiej zabezpiecza rutery firma AVM International, chociaż jej produkty również zawierały dziury. Także ASUS i Netgear wyróżniały się pozytywnie na tle innych. Firmy te częściej aktualizowały oprogramowanie swoich urządzeń i wykorzystywały nowsze, wciąż wspierane, wersje jądra Linuksa. Najgorzej zaś wypadły produkty D-Linka, Linksysa, TP-Linka oraz Zyxela. Szczegóły analizy można przeczytać w dokumencie Home router security report 2020 [PDF]. « powrót do artykułu

Błąd obecny w wielu ruterach powoduje, że atakujący w łatwy sposób możne poznać dokładną lokalizację komputera. Samy Kamkar pokazał, jak wykorzystać tę lukę do zdobycia adresu MAC rutera. Następnie, za pomocą łatwo dostępnych narzędzi można określić jego położenie. Podczas przeprowadzonego pokazu Kamkar odgadł położenie rutera z dokładnością do 9 metrów. Zwykle tylko komputer bezpośrednio podłączony do rutera może uzyskać informację o jego adresie MAC. Kamkar stworzył witrynę, która działa w ten sposób, że w momencie gdy użytkownik ją odwiedzi, witryna jest w stanie zapytać ruter o adres tak, jakby pytanie zostało zadane przez komputer użytkownika. Po uzyskaniu takiej informacji Kamkar użył narzędzia geolokalizacyjnego w przeglądarce Firefox. Odpytuje ono bazę danych Google'a, która została stworzona w czasie wykonywania zdjęć do usługi StreetView. W bazie tej adresy MAC są skojarzone z danymi GPS. Geolokalizacja poszła strasznie daleko. Prywatność jest martwa. Przykro mi - stwierdził Kamkar. Mikko Hypponen z firmy F Secure, nazwał badania Kamkara "bardzo interesującymi". Myśl, że ktoś, gdzieś korzystając z internetu może określić, gdzie mieszkamy jest dość straszna - powiedział. Lokalizowanie osób przez internet pozwala na przeprowadzenie precyzyjnych ataków oraz umożliwia nękanie. Fakt, że bazy danych takie jak StreetView czy Skyhook mogą zostać użyte do takich ataków uświadamia nam, jak wielka odpowiedzialność spoczywa na firmach posiadających takie bazy - dodał Hypponen. To nie pierwsza głośna prezentacja Kamkara. W 2005 roku pokazał on robaka, który wykorzystując błędy w przeglądarkach dodał do jego profilu na MySpace ponad milion "przyjaciół" w ciągu jednego dnia. Pokaz skończył się skazaniem mężczyzny za włamanie. Otrzymał trzyletni nadzór kuratora, musiał zapłacić grzywnę i przepracować 90 dni w ramach prac społecznych. Sąd zakazał mu też wykorzystywania internetu w celach prywatnych.

Jeden z hakerów poinformował w serwisie milw0rm o odkryciu krytycznego błędu w opensource'owym firmware dla bezprzewodowych ruterów. Błędy występują w ponad 200 modelach urządzeń różnych producentów. Luka jest obecna w najnowszej wersji oprogramowania DD-WRT, które rozszerza domyślne funkcje rutera. Umożliwia ona atakującemu uzyskanie dostępu do urządzenia na prawach administratora, bez konieczności przechodzenia procesu uwierzytelniania. Wystarczy nakłonić kogoś z sieci lokalnej do odwiedzenia odpowiednio spreparowanej witryny. Błąd występuje w demonie httpd, który domyślnie działa w DD-WRT na prawach roota. Jest on podatny na atak typu CSRF, atakujący może więc zdalnie wprowadzać dowolne komendy. Twórcy DD-WRT właśnie opublikowali listę poprawek. Przed kilkoma miesiącami informowaliśmy o odkryciu botnetu na modemach i ruterach. Wszystko wskazuje na to, że urządzenia peryferyjne łączące nas z Internetem będą coraz częściej padały ofiarami podobnych ataków.

Specjaliści odkryli botnet składający się z modemów i ruterów działających pod kontrolą Linuksa. Został on stworzony przez robaka psyb0t, który działa co najmniej od stycznia bieżącego roku i infekuje urządzenia z Linux Mipsel. To dystrybucja Debian zaadaptowana dla urządzeń z procesorami MIPS. Robak przeprowadza atak słownikowy, a więc jest w stanie zainfekować te urządzenia, na których ustawiono zbyt słabe hasła. Po instalacji psyb0t zamyka dostęp innym administratorom oraz łączy się z botnetem za pomocą IRC. Ocenia się, że w skład botnetu wchodziło 100 000 urządzeń z całego świata. Członkowie DroneBL, witryny tworzącej listy niezabezpieczonych IP, które mogą paść ofiarą cyberprzestępców, dokładnie badali botnet i stwierdzili, że psyb0t zagraża każdemu modemowi i ruterowi z systemem Mipsel, który jest zabezpieczony słabymi hasłami. Niezależnie od położenia geograficznego i modelu urządzenia. Wykrycie infekcji jest trudne, a można tego dokonać jedynie dzięki szczegółowej analizie ruchu przychodzącego i wychodzącego. Analizy botnetu wykazały, że jest on w stanie wyszukiwać wadliwe instalacje PHPMyAdmin oraz MySQL, może też uniemożliwić dostęp do interfejsu rutera, a więc jedynym sposobem na jego pozbycie się jest zresetowanie urządzenia do ustawień fabrycznych. Po upublicznieniu informacji o botnecie, został on zamknięty przez DroneBL. Prawdopodobnie był to test mający wykazać możliwość stworzenia botnetu z modemów i ruterów. Robak udowodnił, że jest niebezpieczny, tym bardziej, że jego twórcy twierdzą, iż byli w stanie z jednej lokalizacji, rozmawiając przez kanał IRC, zarazić 80 000 ruterów.

Specjaliści od dawna teoretyzowali o możliwości przeprowadzenia ataku na protokół BGP (Border Gateway Protocol) tak, by ofiary tego nie zauważyły. Podczas ostatniej konferencji DefCon Anton Kapela i Alex Pilosov pokazali, w jaki sposób można tego dokonać. Eksperci mówią o największej dziurze w Internecie. Atak Kapeli i Pilosova pozwala na przechwycenie ruchu skierowanego do rutera BGP. Możliwe jest więc podsłuchanie komunikacji kierowanej do danego adresu IP lub grupy adresów. Możliwe jest przekierowanie tego ruchu na własne serwery. A wszystko w taki sposób, że ofiara nie zorientuje się, iż doszło do ataku. Nie robimy nic niezwykłego. Nie wykorzystujemy dziur, błędów w protokole czy w oprogramowaniu - mówi Kapela. Obaj specjaliści wykorzystali zwykły sposób pracy ruterów BGP. Urządzenia te uważane są za zaufane. Gdy chcemy połączyć się z jakąś witryną WWW czy wysłać maila, ruter naszego dostawcy internetu sprawdza tabelę BGP, by wybrać jak najlepszą drogę dla naszego sygnału. Tabela ta tworzona jest na podstawie informacji wysyłanych przez rutery BGP. Każdy z nich ogłasza się i informuje do jakich adresów IP dostarcza dane. Jeśli w tabeli BGP ruter naszego dostawcy znajdzie dwa rutery dostarczające informacje pod interesujący go adres, ale jeden z nich ma połączenie z 50 000 IP, a drugi z 30 000, to nasze żądanie zostanie wysłane przez ten drugi ruter. Tak więc atakujący powinien podłączyć swój własny ruter BGP i skonfigurować go tak, by ogłaszał, że łączy się z tymi adresami, których dane cyberprzestępca chce ukraść (np. z IP należącymi do jakiegoś koncernu). Wystarczy teraz, by zakres adresów był węższy niż ma to miejsce w innych ruterach BGP, a w ciągu kilku minut na ruter atakującego zacznie napływać ruch kierowany do interesujących do IP. Taki sposób ataku znany jest od dawna. Jednak powodował on na tyle duże zakłócenia w pracy sieci, że był szybko wykrywany. Pomysł Pilosova i Kapeli polega na tym, żeby ruch ten, po przechwyceniu, natychmiast kierować do jego prawdziwego odbiorcy. Zwykle nie powinno to działać, bowiem przesłanie ruchu z rutera przestępców do innych ruterów powinno skutkować ponownym odesłaniem go do rutera przestępców (pamiętajmy, że ogłasza się on jako najlepszy pośrednik dla tych danych). Jednak Pilosov i Kapela wykorzystali technikę zwaną AS path prepending, która powoduje, że niektóre rutery BGP odrzucają ogłoszenia naszego rutera, a więc możliwe jest wysłanie danych inną drogą. Dotychczas każdy myślał, że do przechwycenia ruchu konieczne jest złamanie jakichś zabezpieczeń. My pokazaliśmy, że niczego nie trzeba łamać. A skoro niczego się nie łamie, to kto zwróci na atak uwagę? - mówi Kapela. Istnieją sposoby na zabezpieczenie Sieci przed tego typu atakiem, są one jednak bardzo skomplikowane, pracochłonne i wymagają dużo dobrej woli od dostawców Internetu. Na razie nie są wdrażane.

Mniej więcej połowa wszystkich użytkowników korzystających z usług szerokopasmowego dostępu do Internetu (w tym małe i średnie firmy) jest podatna na nowy atak typu pharming, który kończy się sukcesem bez potrzeby spenetrowania komputera ofiary - poinformowała firma Symantec. Do skutecznego przeprowadzenia ataku wystarczy uzyskanie dostępu do rutera - wyjaśnia Zulfikar Ramzan, pracownik Symantec Security Response. Atak bazuje początkowo na prostych działaniach socjotechnicznych nakłaniających nieświadomego użytkownika do odwiedzenia strony zawierającej fragment kodu JavaScript. Kod, niezależnie od tego, czy komputer użytkownika jest w pełni załatany, próbuje symulować operację logowania się do rutera, zakładając, że użytkownik nie zmienił w nim domyślnego hasła. Po zalogowaniu się i przejęciu kontroli nad ruterem ofiary, atakujący może dowolnie skonfigurować adresy serwerów DNS (Domain Name Service) w taki sposób, aby prowadziły ofiarę do fałszywych stron naśladujących chociażby serwisy bankowe. Po przejęciu kontroli nad ruterem cyberprzestępca może kontrolować kanał, jakim ofiara łączy się z Internetem. Atakujący może przekierować ruch w dowolne miejsce, gdziekolwiek sobie życzy - wyjaśnia Ramzan. Najłatwiejszym i najszybszym sposobem ochrony przed tego typu atakiem (nazwanym "drive-by pharming") jest zmiana domyślnego hasła w routerze.